SecNumCloud c'est quoi : la qualification ANSSI expliquée

SecNumCloud est la qualification que l'ANSSI délivre aux prestataires de services d'informatique en nuage (SaaS, PaaS, CaaS, IaaS) qui respectent son référentiel d'exigences, dont la version applicable est la 3.2 du 8 mars 2022. Elle porte sur la sécurité du service et, depuis cette version, sur la protection du prestataire vis-à-vis des lois extra-européennes.

L'ANSSI a élaboré ce référentiel en 2016. Selon sa foire aux questions, la qualification vaut trois ans, fait l'objet d'audits annuels de surveillance et peut être renouvelée à son terme. Le catalogue de l'ANSSI précise que ces prestataires sont qualifiés au titre de l'article 14 du décret n° 2015-350.

Que vérifie la qualification SecNumCloud ?

Le socle reprend l'annexe A de la norme ISO 27001, que l'ANSSI renforce sur plusieurs points : cloisonnement des réseaux entre les usages des clients, la gestion du service et celle de l'infrastructure ; interfaces d'administration distinctes et protégées ; postes d'administration réservés à cet usage ; vérifications sur le personnel qui dispose de privilèges élevés ; tests d'intrusion pendant toute la durée de la qualification.

Le chapitre 19.2 du référentiel impose une localisation dans l'Union européenne pour :

le stockage et le traitement des données des clients ;
les annuaires des comptes d'administration et ceux des comptes utilisateurs, qui doivent être distincts ;
les données techniques : journaux, autorités de certification racines, configuration des accès.

Le support peut intervenir depuis un pays hors de l'Union, mais le prestataire doit documenter les opérations permises depuis ce pays et les mécanismes qui les contrôlent depuis l'Union.

Que change la version 3.2 face au droit extra-européen ?

Le chapitre 19.6, intitulé « Protection vis-à-vis du droit extra-européen », ajoute des critères juridiques et capitalistiques :

siège statutaire, administration centrale et principal établissement du prestataire dans un État membre de l'Union ;
capital et droits de vote qui ne doivent pas être détenus, directement ou indirectement, à plus de 24 % individuellement et à plus de 39 % collectivement par des entités établies hors de l'Union, sans droit de veto ni pouvoir de nommer la majorité des organes de direction ;
aucune possibilité technique, pour un sous-traitant établi ou contrôlé hors de l'Union, d'obtenir les données opérées, y compris les journaux, l'annuaire et les certificats ;
une autonomie d'exploitation continue garantie par ces tiers, ou leur propre qualification SecNumCloud ;
l'information formelle du client, dans un délai d'un mois, de tout changement juridique, organisationnel ou technique qui touche ces exigences.

Le prestataire doit en outre lister, dans un document spécifique, les risques résiduels liés aux lois extra-européennes qui visent la collecte de données sans consentement du client, et fournir sur demande les éléments d'appréciation de ces risques. Ce que ces lois permettent est détaillé dans l'article Cloud Act et RGPD.

Quelles offres sont qualifiées SecNumCloud aujourd'hui ?

Le catalogue de l'ANSSI mis à jour le 15 septembre 2026 liste 27 services qualifiés, portés par 12 fournisseurs. Côté infrastructure et plateforme figurent notamment l'IaaS Cloud on Demand d'Outscale, la SNC Cloud Platform d'OVH et la plateforme de Numspot (qualifiées le 31 juillet 2026), les offres de Cloud Temple, de Cegedim, d'Orange Business Services, de Worldline, et le Cloud de confiance S3NS de Thales Cloud Sécurisé (qualifié le 17 décembre 2025). Côté logiciel, des services d'Oodrive, de Whaller, de Cloud Solutions (Wimi) et d'Index Education (Pronote, EDT, Hyperplanning) sont qualifiés.

Une page distincte recense les projets de qualification en cours, uniquement ceux que les prestataires ont accepté de rendre publics ; un projet suspendu en est retiré. Un projet en cours n'emporte aucune qualification.

La qualification porte sur un service nommé, pas sur une entreprise : un même fournisseur peut vendre des offres qualifiées et d'autres qui ne le sont pas. L'ANSSI précise aussi que la qualification ne préjuge pas du niveau de sécurité de l'application d'un client hébergée sur l'offre qualifiée.

Qui doit exiger une offre qualifiée SecNumCloud ?

Pour l'État, la circulaire n° 6404/SG du 31 mai 2023, qui actualise la doctrine « cloud au centre » issue de la circulaire du 5 juillet 2021, exige qu'une offre commerciale retenue pour des données d'une sensibilité particulière respecte la qualification SecNumCloud, ou une qualification européenne d'un niveau au moins équivalent, et soit immunisée contre tout accès non autorisé par des autorités publiques d'États tiers.

L'article 31 de la loi n° 2024-449 du 21 mai 2024 (loi SREN) a inscrit cette exigence dans la loi pour les administrations de l'État, ses opérateurs et certains groupements d'intérêt public. Sont visées notamment les données relevant de secrets protégés par la loi (articles L. 311-5 et L. 311-6 du code des relations entre le public et l'administration). Le décret n° 2026-272 du 14 avril 2026 renvoie à un référentiel de l'ANSSI approuvé par arrêté du Premier ministre, dont le respect est attesté par une qualification ou une certification européenne, et encadre les dérogations pour les projets déjà engagés.

Aucun texte n'impose SecNumCloud à une entreprise privée en général. L'ANSSI indique que le référentiel peut servir de bonnes pratiques hors de tout cadre réglementaire. La décision part des données : lesquelles sont hébergées, quel dommage causerait leur divulgation, et quelle entité pourrait être contrainte de les remettre. L'article Ce que veut dire héberger en France détaille ces trois questions, et une cartographie des flux de données permet d'y répondre système par système.

Comment vérifier la qualification d'un prestataire ?

Demander le nom exact du service qualifié et la référence de la décision de qualification.
Retrouver ce service dans le catalogue de l'ANSSI, mis à jour au moins une fois par mois, et relever ses dates de début et de fin de qualification.
Vérifier que le service acheté est bien celui qui figure au catalogue : un logiciel hébergé sur une infrastructure qualifiée n'est pas qualifié pour autant.
Lire la convention de service : localisation du stockage et du traitement, droit applicable, opérations de support réalisées hors de l'Union.
Demander le document des risques résiduels liés aux lois extra-européennes exigé par le référentiel.

Questions fréquentes

SecNumCloud est-il une certification européenne ?

Non. C'est une qualification française délivrée par l'ANSSI. L'ANSSI indique contribuer au schéma européen EUCS, qu'elle décrit comme non finalisé.

Un logiciel hébergé sur une infrastructure qualifiée est-il qualifié ?

Non. L'éditeur doit lui-même entrer dans le processus de qualification ; l'ANSSI prévoit alors une évaluation par composition, plus courte sur la partie déjà qualifiée.

SecNumCloud remplace-t-il l'hébergement de données de santé ?

Non. La circulaire du 31 mai 2023 précise que, pour les systèmes contenant des données de santé, l'hébergeur doit en plus respecter la législation sur l'hébergement de données de santé.

Que se passe-t-il si l'actionnariat du prestataire change ?

Le référentiel l'oblige à en informer formellement ses clients dans un délai d'un mois lorsque le changement peut affecter la conformité au chapitre 19.6.

Sources

Tous les articles

SecNumCloud : ce que garantit la qualification de l'ANSSI